CTF-pwn-虚拟化-qemu前置知识

news2024/10/7 2:22:26

文章目录

  • 参考
  • 地址相关
  • 交互相关
  • 配置相关
  • 调试
  • 待完善（以后做题用到啥再加吧）

参考

https://xz.aliyun.com/t/6562?time__1311=n4%2bxnD0DRDBAi=GkDgiDlhjmYh2xuCllx7whD&alichlgref=https://www.bing.com/#toc-3

地址相关

每个qemu虚拟机都是宿主机上的一个进程，在进程中用mmap分配出大小为0x40000000字节的宿主机的虚拟内存来作为虚拟机的物理内存

GVA：guest virtual address（虚拟机中的虚拟地址）
GPA：guest physical address（虚拟机中的物理地址）
HVA：host virtual address（宿主机中的虚拟地址）
HPA： host physical address（宿主机中的物理地址）

GVA通过客户机的页表得到GPA，GPA实际是由宿主机进程mmap出来的空间内的偏移。再加上起始地址就是HVA(mmap分配出相应虚拟机申请大小的内存，用于给该虚拟机当作物理内存)

  1. 设备可以申请两类空间，memory mapped I/O(MMIO)和port mapped I/O(PMIO)，并在配置空间中用Base Address Registers(BAR)来标记内存地址信息
#include <stdio.h>
#include <string.h>
#include <stdint.h>
#include <stdlib.h>
#include <fcntl.h>
#include <assert.h>
#include <inttypes.h>

#define PAGE_SHIFT  12
#define PAGE_SIZE   (1 << PAGE_SHIFT)
#define PFN_PRESENT (1ull << 63)
#define PFN_PFN     ((1ull << 55) - 1)

int fd;

uint32_t page_offset(uint32_t addr)
{
    return addr & ((1 << PAGE_SHIFT) - 1);
    //虚拟地址addr在其所在页面内的偏移量
}

uint64_t gva_to_gfn(void *addr)
{
    uint64_t pme, gfn;
    size_t offset;
    offset = ((uintptr_t)addr >> 9) & ~7;//页表条目相对于文件开始的偏移量（GFN, Guest Physical Frame Number）
    lseek(fd, offset, SEEK_SET);//移动文件指针到计算出的偏移量处，准备读取PTE。
    read(fd, &pme, 8);  //从文件中读取8字节到pme变量即物理块起始地址
    if (!(pme & PFN_PRESENT))
        return -1;
    gfn = pme & PFN_PFN;
    return gfn;
}

uint64_t gva_to_gpa(void *addr)
{
    uint64_t gfn = gva_to_gfn(addr);
    assert(gfn != -1);
    return (gfn << PAGE_SHIFT) | page_offset((uint64_t)addr);
}

int main()
{
    uint8_t *ptr;
    uint64_t ptr_mem;
    // uint64_t ptr_malloc;
    fd = open("/proc/self/pagemap", O_RDONLY);
    if (fd < 0) {
        perror("open");
        exit(1);
    }

    ptr = malloc(256);
    strcpy(ptr, "Where am I?");
    printf("%s\n", ptr);
    ptr_mem = gva_to_gpa(ptr);
    
    printf("Your physical address is at 0x%"PRIx64"\n", ptr_mem);
    // ptr_malloc = gva_to_gpa(&malloc);
    // printf("malloc physical address 0x%"PRIx64" \n",ptr_malloc);

    getchar();
    return 0;
}

在这里插入图片描述
gdb attach后vmmap可以查看到启动脚本中的-M指定的分配大小

在这里插入图片描述在这里插入图片描述

交互相关

每个PCI设备有一个总线号、一个设备号、一个功能标识，存在PCI域，PCI域最多可以承载256条总线， 每条总线最多可以有32个设备，每个设备最多可以有8个功能

lspci 可以查看设备所在的域、总线号、设备号、功能号，不同版本lspci 显示的内容不一样

其中对于形如0000:00:03.0的数据，0000是域，00是总线号，03是设备号，0是功能号
在这里插入图片描述
resource中的pmio端口和mmio起始地址是固定的
mmio：将设置的寄存器映射到端口，访问端口来访问寄存器
pmio：将设置的寄存器映射到内存， 访问内存来访问寄存器

  • hexdump /sys/devices/pci0000:00/0000:00:03.0/config查看配置信息如deviceid和vendorid
  • 访问memory mapped I/O内存：打开获取fd后用mmap映射内存地址，直接操作内存
int mmio_fd = open("/sys/devices/pci0000:00/0000:00:04.0/resource0", O_RDWR | O_SYNC);
mmio_mem = mmap(0, 0x1000, PROT_READ | PROT_WRITE, MAP_SHARED, mmio_fd, 0);
  • 访问port mapped I/O内存：申请访问端口权限后用in、out访问
iopl(3);// iopl(3) 表示打开对全部IO端口的访问权限
inb(port); //从端口读一个字节
outb(val,port); //往端口写一个字节val

设备会注册自己的MMIO和PMIO读写函数，当检测到访问其所在的内存或端口时调用注册的读写函数，实现对设备内存的读写功能

当对设备其所在的内存访问时，会调用注册的读mmio函数d3dev_mmio_read，读的位置是基地址+0x128，是4字节。被d3dev_mmio_read识别为了rsi为0x128（偏移），rdx为4

在这里插入图片描述
在这里插入图片描述
当对设备其所在的内存写时，会调用注册的写mmio函数d3dev_mmio_write
在这里插入图片描述

#include <assert.h>
#include <fcntl.h>
#include <inttypes.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/mman.h>
#include <sys/types.h>
#include <unistd.h>
#include<sys/io.h>


unsigned char* mmio_mem;

void die(const char* msg)
{
    perror(msg);
    exit(-1);
}


void mmio_write(uint32_t addr, uint32_t value)
{
    *((uint32_t*)(mmio_mem + addr)) = value;
}

uint32_t mmio_read(uint32_t addr)
{
    return *((uint32_t*)(mmio_mem + addr));
}


int main(int argc, char *argv[])
{

    // Open and map I/O memory for the strng device
    int mmio_fd = open("/sys/devices/pci0000:00/0000:00:03.0/resource0", O_RDWR | O_SYNC);//O_SYNC标志表示同步I/O操作，确保对文件的写操作在返回前完成
    if (mmio_fd == -1)
        die("mmio_fd open failed");

    mmio_mem = mmap(0, 0x1000, PROT_READ | PROT_WRITE, MAP_SHARED, mmio_fd, 0);
    //PROT_READ | PROT_WRITE：指定映射区域的访问权限，这里允许读写。
    //MAP_SHARED：映射类型，共享映射意味着对映射区域的修改会反映到设备上，其他映射同一资源的进程也能看到修改。
    //mmio_fd：之前通过open获得的文件描述符。
    //0：文件偏移量，从资源的起始位置开始映射。
    if (mmio_mem == MAP_FAILED)
        die("mmap mmio_mem failed");

    printf("mmio_mem @ %p\n", mmio_mem);

    mmio_read(0x128);
    mmio_write(0x128, 1337);
    mmio_read(0x128);

}

在这里插入图片描述
可以发现rsi会被设置成偏移
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

#include <assert.h>
#include <fcntl.h>
#include <inttypes.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/mman.h>
#include <sys/types.h>
#include <unistd.h>
#include<sys/io.h>

void die(const char* msg)
{
    perror(msg);
    exit(-1);
}


uint32_t pmio_base=0xc040;

uint32_t pmio_write(uint32_t addr, uint32_t value)
{
    outl(value,addr);
}

uint32_t pmio_read(uint32_t addr)
{
    return (uint32_t)inl(addr);
}

int main(int argc, char *argv[])
{


    if (iopl(3) !=0 )
        die("I/O permission is not enough");
    pmio_read(pmio_base+4);
    pmio_write(pmio_base+4,1);
    pmio_read(pmio_base+4);

}
  • qemu中执行其中的程序时，当涉及到设备读写此时进行的操作会是qemu进程执行的，不是虚拟中的，就是对qemu进程上的虚拟地址相关进行操作，不是mmap出来作为宿主机的那部分（就和平常用户态一样了）
  • 注册的相关读写函数中的addr是偏移，mmio范围是0x800，pmio是0x20

配置相关

PCI设备有其配置空间来保存设备信息，头部最开始的数据为Device id和Vendor id

在初始化设备时会初始化四个比较重要的结构体：TypeInfo -> TypeImpl -> ObjectClass -> Object，每个 Object对应一个具体的device，其构造函数在qemu启动用-device参数加载设备时调用

设备读写操作函数的第一个参数是这个Object类的指针

调试

打包exp到文件系统

gcc -static exp.c -o   exp
find . | cpio -o --format=newc > ../rootfs.img

启动qemu

./launch.sh

touch .gdbinit
往里面写入断点
b*d3dev_pmio_write
b*d3dev_pmio_read
b*d3dev_mmio_write
b*d3dev_mmio_read

ps -ef | grep qemu
一般是最下面的那个进程


sudo gdb attach -p 进程号

在qemu中

./exp

此时gdb会断在断点上，然后开始调试

成功attach之后即可下断点调试，开启了pie保护，且没有符号表可以用pwndbg的$rebase()根据ida中的地址确定进程中的真实地址

待完善（以后做题用到啥再加吧）

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1847069.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

springboot3 连接 oceanbase + logproxy数据同步到redis

springboot3 连接 oceanbase + logproxy数据同步到redis

我这用的是 社区版的 单机&#xff0c; rocky liunx 安装oceanbase 注意事项&#xff1a; logproxy 是 CDC 模式 &#xff0c; springboot 可以直接订阅 canal 是 binlog模式&#xff0c; canal 订阅 logproxy&#xff0c; springboot 订阅 canal logproxy 也可以转 bi…
阅读更多...
学校教育为什么要选择SOLIDWORKS教育版？

学校教育为什么要选择SOLIDWORKS教育版？

在数字化和智能化时代&#xff0c;学校教育正面临着挑战与机遇。为了培养具备创新能力和实践技能的新时代人才&#xff0c;学校教育需要引入先进的教学工具和资源。SOLIDWORKS教育版作为一款专为教育和培训目的而设计的软件&#xff0c;以其全方面的功能、友好的用户界面、丰富…
阅读更多...
在自托管基础设施上使用 GitOps 部署 MinIO

在自托管基础设施上使用 GitOps 部署 MinIO

基于MinIO Weaviate Python GitOps探索的见解&#xff0c;本文探讨了如何增强软件部署流程的自动化。 通过将 GitHub Actions 与 Docker Swarm 集成而产生的协同作用&#xff0c;以自托管基础架构的稳健性为基础&#xff0c;标志着 CI/CD 实践的关键进步。这种方法不仅利用了软…
阅读更多...
索尼MXF文件断电变2G恢复方法(PXW-Z280V)

索尼MXF文件断电变2G恢复方法(PXW-Z280V)

PXM-Z280V算是索尼比较经典的机型&#xff0c;也是使用MXF文件格式的机型之一。近期接到很多例索尼MXF量突然不正常的案例&#xff08;如变成512字节或者2G&#xff09;&#xff0c;下面来看下这个案例。 故障存储: 128G存储卡 /文件系统&#xff1a;exFAT 故障现象: 客户反…
阅读更多...
《数据结构与算法基础》——1.2基本概念和术语

《数据结构与算法基础》——1.2基本概念和术语

一、本章结构 二、四个数据相关专业名词的解释 两者的区别 三、数据结构相关内容 四、逻辑结构的分类 五、存储结构的分类及四种基本存储结构 六、数据类型和抽象数据类型
阅读更多...
跑通并使用Yolo v5的源代码并进行训练—目标检测

跑通并使用Yolo v5的源代码并进行训练—目标检测

跑通并使用Yolo v5的源代码并进行训练 摘要&#xff1a;yolo作为目标检测计算机视觉领域的核心网络模型&#xff0c;虽然到24年已经出到了v10的版本&#xff0c;但也很有必要对之前的核心版本v5版本进行进一步的学习。在学习yolo v5的时候因为缺少论文所以要从源代码入手来体验…
阅读更多...
JavaScript的学习之旅之基本数据类型

JavaScript的学习之旅之基本数据类型

目录 一、字面量&#xff08;常量&#xff09;和变量 二、标识符 三、数据类型 1.String类型 2.Number类型 四、布尔值类型 五、Null和Undefined类型 一、字面量&#xff08;常量&#xff09;和变量 字面量&#xff1a;不可变的数据&#xff0c;一般位于等式的右边 变量&…
阅读更多...
注册安全分析报告：PingPong

注册安全分析报告：PingPong

前言 由于网站注册入口容易被黑客攻击&#xff0c;存在如下安全问题&#xff1a; 暴力破解密码&#xff0c;造成用户信息泄露短信盗刷的安全问题&#xff0c;影响业务及导致用户投诉带来经济损失&#xff0c;尤其是后付费客户&#xff0c;风险巨大&#xff0c;造成亏损无底洞 …
阅读更多...
深度剖析现阶段的多模态大模型做不了医疗

深度剖析现阶段的多模态大模型做不了医疗

导读 在人工智能的这波浪潮中&#xff0c;以ChatGPT为首的大语言模型&#xff08;LLM&#xff09;不仅在自然语言处理&#xff08;NLP&#xff09;领域掀起了一场技术革命&#xff0c;更是在计算机视觉&#xff08;CV&#xff09;乃至多模态领域展现出了令人瞩目的潜力。 这些…
阅读更多...
芯片制作流程

芯片制作流程

1、系统需求-》设计-》光罩-》芯片制造-》检测-》封装-》测试。 光罩-》光阻涂布-》曝光-》显影和烘烤-》刻蚀-》等离子体去胶-》湿法刻蚀 化学机械研磨-》薄膜沉积-》制作金属薄膜-》化学气相沉积-》离子注入
阅读更多...
探索序列到序列模型：了解编码器和解码器架构的强大功能

探索序列到序列模型：了解编码器和解码器架构的强大功能

目录 一、说明 二、什么是顺序数据&#xff1f; 三、编码器解码器架构的高级概述&#xff1a; 3.1 编码器和解码器架构的简要概述&#xff1a; 3.2 训练机制&#xff1a;编码器和解码器架构中的前向和后向传播&#xff1a; 四、编码器解码器架构的改进&#xff1a; 4.1.…
阅读更多...
王老吉“杀疯啦”？传统品牌如何创新营销“破圈”而出

王老吉“杀疯啦”？传统品牌如何创新营销“破圈”而出

好像现在年轻人都不热衷喝凉茶更偏爱咖啡了&#xff0c;没关系&#xff0c;王老吉带着“冰中式”向你走来了。 四月底&#xff0c;王老吉和肯德基K咖啡联名&#xff0c;推出了王老吉风味的气泡美式。可能乍一听觉得奇奇怪怪&#xff0c;而后细想&#xff0c;凉茶味儿的咖啡&am…
阅读更多...
QListWidget、QMenu、Action、customContextMenuRequested

QListWidget、QMenu、Action、customContextMenuRequested

QListWidget的初始化、清空、Append添加、Insert添加、删除item QListWidget的事件的使用 QToolBox的使用&#xff0c;每个Page可以添加其他控件 QToolBar使用代码添加QMenu,QMenu添加3个Action QToolButton绑定Action 布局 其中 QSplitter比较特殊&#xff0c; 允许在水平或垂…
阅读更多...
S32K3 工具篇1：新手如何安装S32DS RTD4_0_0

S32K3 工具篇1：新手如何安装S32DS RTD4_0_0

S32K3 工具篇1&#xff1a;新手如何安装S32DS RTD4_0_0 一&#xff0c; 软件下载1.1 RTD 下载1.2 S32DS IDE 和 更新包 下载1.3 S32K3XX development 包下载 二&#xff0c; 软件安装2.1 安装S32DS IDE2.2 安装 IDE update&#xff0c;development&#xff0c;RTD 三&#xff0…
阅读更多...
Python 修炼｜人人编程手册｜001 计算思维

Python 修炼｜人人编程手册｜001 计算思维

在微信中阅读，关注公众号：CodeFit。 > 创作不易，如果你觉得这篇文章对您有帮助，请不要忘了 点赞、分享 和 关注，为我的 持续创作 提供 动力! 1. 计算思维 在我们正式开启 Python 修炼之旅前，先来了解一个关键的概念 —— 计算思维。 计算思维，其核心本质在于 抽象 …
阅读更多...
python eval 函数和 json 对象的使用

python eval 函数和 json 对象的使用

注意&#xff1a; 1、python 不支持 switch 语句&#xff0c;所以多个条件判断分支的写法只能用 if 2、elif 对应 Java 中的 else if 3、python 编写的程序代码都是自上而下执行&#xff0c;除非代码控制&#xff0c;不然不会改变 4、需要注意代码层级&#xff0c;如果层级不对…
阅读更多...
Mentor Xpedition怎么切换中英文界面

Mentor Xpedition怎么切换中英文界面

1、Mentor Xpedition的Layout界面&#xff0c;切换中英文的方法如下图&#xff1b; 切换英文设置&#xff0c;设置系统环境变量&#xff1a;MGC_PCB_LANGUAGEEnglish&#xff0c;重新打开软件即可切换成中文界面&#xff1b; 如果想要在切换成中文&#xff0c;把标量值改为Chi…
阅读更多...
七连发吴谨言专访揭秘

七连发吴谨言专访揭秘

七连发&#xff01;吴谨言专访揭秘&#xff0c;薛芳菲魅力再升级在娱乐圈的繁星中&#xff0c;总有那么一些独特的光芒&#xff0c;她们用才华和魅力照亮前行的道路。近日&#xff0c;备受瞩目的“六公主”平台连续发布了七条关于吴谨言的专访&#xff0c;引发了广大网友的热烈…
阅读更多...
Java——访问修饰符

Java——访问修饰符

一、访问修饰符是什么 Java中的访问修饰符用于控制类、接口、构造函数、方法和数据成员&#xff08;字段&#xff09;的可见性和访问级别。 Java提供了四种访问修饰符&#xff1a; 访问修饰符同一类内同一包内不同包的子类不同包的非子类适用对象public可见可见可见可见类、…
阅读更多...
猫头虎分享：IPython的使用技巧整理

猫头虎分享：IPython的使用技巧整理

&#x1f42f; 猫头虎分享&#xff1a;IPython的使用技巧整理 关于猫头虎 大家好&#xff0c;我是猫头虎&#xff0c;别名猫头虎博主&#xff0c;擅长的技术领域包括云原生、前端、后端、运维和AI。我的博客主要分享技术教程、bug解决思路、开发工具教程、前沿科技资讯、产品…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023